安全 で 信頼 で きる IOT( モ ノ の イン ター ネッ ト ) 
構築 の た め の BSA の ポリ シー 原則 





イン ター ネッ ト の 常に 進化 する 性 質 に よっ て 、 デ バイ ス 、 ア プリ ケー ショ ン 、 サ ー 
ビス 間 の 通信 に 新た な 可能 性 が 生ま れ 、 こ れ が 私 た ちの 物理 的 環境 、 仕 事 、 社 会 
と の 日 常 の 関わ り ま で も 変革 させ て いま す 。 モ ノ の イン ター ネッ ト (loT) は 、 世 界 を 
より 良い も の に 変え る 大 き な 可 能 性 を 秘め て いま す 。loT が イン ター ネッ ト や 世界 
経済 に 今後 与え る 影響 は 多大 な も の で あり 、loT デ バイ ス と その さま ざま な アプ リ 
ケー ショ ン で の 使用 の 数 は 爆発 的 な 増加 が 予測 され ます 。 世 界 的 に 見 る と 、loT 
を 含む マシ ン ツ ー マ シ ン (M2M) 接続 は 、2018 年 の 61 億 か ら 比べ て 今後 数 年 で 名 












2 倍 以上 に な り 、2023 年 まで に は 147 億 に 達する で し ょ う 。! 和正 と 
含む マシ ン ツー マシ ン 
M2M 接 続 の グロ ー バ ル な 成長 (数 十 億 の 接続 (M2M) 接続 は 、2018 
A 
14.7 今後 数 年 で 2 倍 以上 に 
10.6 に な り 、2023 年 まで に は 
147 億 に 達する で し ょ う 。 


2018 2019 2020 2021 2022 2023 
Source: Cjsco Annua/ Internet Repor (2078-2023). 


数 十 億 も の loT デ バイ ス 、 ア プリ ケー ショ ン 、 サ ービス が すでに 使用 され て お り 、 日 々 ネッ トワ ー ク 上 に 
増え 続け て いま す 。 そ し て 新しい デバ イス が 登場 する た びに 、 悪 意 ある 行為 者 が デジ タル エコ シス テム 
を 破壊 する 機会 が 拡大 する の で す 。 あ る 試算 で は 、2019 年 前 半 の loT デ バイ ス に 対す る サイ バー 攻撃 
は 、2018 年 後半 に 比べ て 300% 増 加 し た と 述べ て いま す 。2 IoT の 成長 に 伴い 、loT セ キュ リティ は 最 重 
要 事 項 と な り ま し た 。 セ キュ リティ 保護 が 不 十分 な loT デ バイ ス と サー ビス は 、 サ イ バ ー 攻 撃 の 入り 口 と 
な っ て し まい 、 機 密 デ ー タ を 危険 に さら し 、 個 々 の ユー ザー の 安全 を 脅かし ます 。 脆 弱 な セキ ュ リ ティ の 





| シス コ 、Cjsco Annual jnternet Report (2078-2023)、 https://www.cisco.com/c/en/us/solutions/collateral/executive- 
perspectives/annual-internet-report/white-paper-c1 1-741490.pdf 








Nn 


F-Secure, Attack Landscape H1 2019、 https://blog-assets.f-secure.com/wp-content/ 
uploads/2019/09/12093807/2019 attack landscape_report.pdf、 以 下 も 参照 :Zak Doffman 著 、「Cyberattacks On IOT 
Devices Surge 300% In 2019, 'Measured In Billions', Report Claims」、 フ ォ ー ブ ス (2019 年 9 月 14 日 )、https://www.forbes. 
com/sites/zakdoffman/2019/09/14/dangerous-cyberattacks-on-iot-devices-up-300-in-2019-now-rampant-report- 
claims/#220ecd435892 
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loT デ バイ ス の ネッ トワ ー ク を 利用 し た 、 イ ン フ ラス トラ クチ ャ や その 他 の ユー ザー へ の サイ バー 攻撃 は 、 
医療 や 公益 事業 な どの 不可 欠 な サー ビス の 提供 に 影響 を 与え 、 人 々 の セキ ュ リ ティ や プラ イバシー を 
危険 に さら し 、 世 界 中 で イン ター ネッ ト の 耐 障害 性 を 脅かす 可能 性 が あり ます 。 


これ ら の 難題 は 、 政 府 と テク ノロ ジー 業界 が 力 を 合わ せ て loT の セキ ュ リ ティ 強化 を 図っ て いく 十分 な 
理由 と な り ま す 。 政 策 立案 者 は 、 課 題 を 検討 し 、 解 決 策 を 特定 する 余地 の ある 措置 を 取る 必要 が あり 
ます 。 


BSA 会 員 企業 は 、 世 界 の ソフ トウ ェ ア 業 界 で 信頼 され る リー ダー と し て 、loT セ キュ リティ の 進歩 を 含め 
loT イ ノ ベ ー シ ョ ン の 最前 線 に 立っ て いま す 。 政 府 の loT セ キュ リティ 政策 に 関し 、BSA は 、 責 任 あ る リス ク 
ベー ス の アプ ロー チ を 含む 、loT の 信頼 構築 の た め の 一 連 の 原則 を 支持 し ます 。 


BSA の loT セ キュ リティ ポリ シー の 原則 


政府 は 、 次 の よう な loT セ キュ リティ 政策 を 策定 すべ き で す 。 


1 2 3 4 
loT エ コシ ステ ム の 重要 な 概念 と デバ イス だ け ョ コシ ジ シ ョ ニー マニ 
多様 性 と 複雑 さ に 要件 を 明確 に で な く 、loT エ コ IIy【oK ゴ : ヨ ::| 
対応 する 。 定義 する 。 シス テム 全体 を loT (lloT) を 区 別 
保護 する 。 する 。 


) 6 (に) 


業界 の ベス ト プ ラ loT ラ イフ サイ クル マル チ ス テー ク 国家 お よび 
クティ ス に 基づい て 全体 を 通じ た ホル ダー・ プ ロ セ ス 国際 的 な 政策 の 
構築 され る 。 セキ ュ リ ティ を を 採用 する 。 調和 を 図る 。 
奨励 する 。 


9 0) 11 12 


国際 的 に 認め ら 必要 に 応じ て セキ ュ リ ティ を loT を イン シ デ ン ト 

eK) 適切 に ベー スラ イン loT の 取得 に 対応 に 含め る 。 
開発 と 使用 を セキ ュ リ ティ 要件 を 統合 する 。 

サポ ー ト す る 。 設定 する 。 





loT セ キュ リティ 政策 は 、loT エ コシ ステ ム の 多様 性 と 
複雑 さ に 対応 する 


loT の 定義 と し て 広く 認め られ た も の は あり ませ ん が 、 一 般 的 に は 、 セ ン サ ー、 ソ フト ウェ ア その 他 の テク 
ノロ ジー が 組み 込ま れ た 物理 的 な オブ ジェ クト (「 モ ノ 」) の ネッ トワ ー ク を 指し 、 イ ンタ ーネット 経由 で 
他 の デバ イス や シス テム と デー タ を 接続 し た り 交 換 し た りす る こと を 目的 と し て いま す 。 


loT シ ステ ム に は 、 一 般 的 に セン サー や アク チュ エー ター、 デ ー タ プロ セッ サー、 ユ ー ザ ー イ ンタ ー フ ェ ー ス 
な どの デバ イス 要素 と 、 ゲ ー ト ウェ イ や クラ ウド イン フラ スト ラク チャ ー な どの ネッ トワ ー ク 要素 が 含ま れ 
ます 。 
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主要 な 要素 


loT デ バイ ス :loT デ バイ ス は 、 イ ンタ ーネット に 接続 する こと が で き 、 ま た 通常 は イン ター ネッ ト 
に 接続 され て お り 、 デ ー タ を 収集 、 送 信 、 ま た は 受信 で きる コン ピュ ー タ ー 処 理 機能 を 備え て い 

ます 。loT デ バイ ス に は 、 ユ ー ザ ー イ ンタ ー フ ェ ー ス 、 デ ー タ プロ セッ サー、 複 数 の セン サー が 組み 
込ま れ て いる 場合 が あり ます 。 た と えば 、IloT デ バイ ス に は GPS、 加 速度 セン サー、 カ メラ セン サー 
を 搭載 で きま す 。 デ バイ ス は 、 プ ログ ラマ ブル ロジ ッ ク コ ント ロー ラ (PLC) な どの 複雑 な シス テム 

の 場合 も あれ ば 、 オ ペレ ー テ ィング シス テム を 持た な いよ うな 非常 に 単純 な 場合 も あり ます 。 


» セン サー お よび アク チュ エー ター : セ ン サ ー は 周囲 の 環境 か ら デ ー タ を 収集 し ます 。 こ の 収集 
され た デー タ は 、 単 純 な 温度 監視 か ら 複 雑 な ビデ オフ ィ ー ド まで 、 そ の 糞 雑 性 は さま ざま で す 。 
アク チュ エー ター は セン サー か ら と 情報 を 受信 し 、 そ れ を 物理 的 な 動作 に 変換 し ます 。 た と えば 、 
電動 モー タ や 油圧 シス テム に 作動 する よう 指示 し ます 。 


> デー タプ ロ セ ッ サ ー: デ ー タ プロ セッ サー と は 、 デ ー タ を 有用 な 情報 に 変換 する た め の 操 作 を 
実行 する コン ポー ネン ト を 指し ます 。 こ れ ら の 情報 は 解釈 され 、 分 析 に 使用 で きま す 。 デ ー タ 
処理 機能 は 、 圧 力 測定 値 が 許容 範囲 内 で ある こと の 確認 な どの 単純 な も の か ら 、 コ ン ピ ュ ー 
タビ ジョ ン を 使用 し て ビデ オ 内 の オブ ジェ クト を 識別 する な どの 複雑 な も の まで 多岐 に わた 
り ま す 。 


» ユー ザー イン タフ ェ ー ス : ユ ー ザ ー イ ンタ ー フ ェ ー ス は 、 画 面 、 ペ ー ジ 、 ボ タン 、 フ ォ ー ム 、 ア イ 
コン 、 テ キス ト な ど 、 エ ンド ユー ザー が loT シ ステ ム と や り 取 りす る た め の 機 能 で 構成 され て い 
ます 。 ユ ー ザ ー イ ンタ ー フ ェ ー ス は 、IoT デ バイ ス の リモ ー ト 管理 に 使用 され る 製品 、 ポ ー タ ル 
また は アプ リケーション と ユー ザー と の や り 取 り 、 す な わ ち ユー ザー エク スペ リエ ンス と 密接 
に 関連 し て いま す 。 


ネッ トワ ー ク : ネ ットワーク で は 、loT デ バイ ス に よっ て 収集 され た デー タ を クラ ウド イン フラ スト 
ラク チャ に 転送 で きま す 。loT デ バイ ス は 、 携 帯電 話 ネッ トワ ー ク 、 衛 星 ネ ットワーク 、Wi-Fi、L- 
Fi、Bluetooth な ど 、 さ ま ざ ま な 通信 お よび 転送 媒体 を 介し て クラ ウド に 接続 で きま す 。 新 し い 
エッ ジコ ン ピ ュ ー テ ィング 機能 を 備え た 5G ネ ットワーク は 、IloT デ バイ ス の 使用 と 管理 に 無数 の 
新た な 可能 性 を 生み 出し ます 。 ネ ットワーク 、 ゲ ー ト ウェ イ 、 ク ラウ ドイ ン フ ラス トラ クチ ャ に 関連 
する の は 、loT エ コシ ステ ム の 他 の 重要 な コン ポー ネン ト で す 。 


» ゲー トウ ェ イ : ゲ ー ト ウェ イ は 、IloT デ バイ ス と 接続 先 ネ ットワーク 間 の デー タ ト ラ フィ ッ ク を 
管理 し ます 。 ハ ー ド ウェ ア や ソフ トウ ェ ア の 要素 が 含ま れ て いる 場合 が あり ます 。 た と えば 、 
家庭 使用 環境 で は 、 ル ー タ ー が ホー ム Wi-Fi ネ ットワーク と イン ター ネッ ト サ ー ビ スプ ロバ イ 
ダー の 間 の ゲー トウ ェ イ と し て 機能 する こと が よく あり ます 。 ゲ ー ト ウェ イ は 、 数 千 台 の セン サー 
か ら 収 集 さ れ た デー タ を ロー カル で 前 処理 し て か ら 次 の ステ ー ジ に 送信 する よう に 設定 で き 
ます 。 ゲ ー ト ウェ イ の も う 一 つの 機能 と し て 、 異 な る ネッ トワ ー ク プロ トコ ル を 変換 し 、 接 続 され 
た デバ イス と セン サー が 相互 運用 可能 で ある よう に し ます 。 ま た 、 ゲ ー ト ウェ イ は 、 高 階 の 暗号 
化 技術 を 使用 し て 、 ネ ットワーク お よび 送信 デー タ に 対し て 一 定 レ ベル の セキ ュ リ ティ を 提供 
する こと も で きま す 。 デ バイ ス と クラ ウド の 中 間 層 と し て 機能 し 、 悪 意 の ある 攻撃 や 不正 アク 
セス か ら シ ステ ム を 保護 し ます 。 


» クラ ウド イン フラ スト ラク チャ : ク ラウ ドイ ン フ ラス トラ クチ ャ と は 、 大 量 の デー タ を 効率 的 に 
処理 する た め に 最適 化 さ れ た 分 散 コ ン ピ ュ ー テ ィング お よび デー タベース 管理 シス テム を 
指し ます 。 ク ラウ ドサ ー バ ー は 、 大 量 の デー タ を リア ル タ イ ム で 収集 、 処 理 、 管 理 、 保 存する 
ツー ル を 提供 し 、 多 く の セ ン サ ー、 デ バイ ス 、 ゲ ー ト ウェ イ 、 プ ロト コル か ら の 入力 を 統合 し ま 
す 。 ま た 、 カ スタ マイ ズ さ れ た セキ ュ リ ティ 制御 や その 他 の ルー ル を 特定 の シス テム グル ー プ に 
適用 で きる 仮想 環境 や コン テ ナ 化 され た 環境 を 作成 し 、loT デ バイ ス 管 理 用 の 強力 な ツー ル 
を 作成 で きま す 。 
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これ ら の さま ざま な コン ポー ネン ト は 、loT が モノ リス で は な く 、 さ ま ざ ま な デバ イス 、 通 信 ネ ットワーク 、 
イン ター フェ ー ス 、 そ し て 人 を 含む 複雑 な シス テム で ある こと を 示し て いま す 。 多 く の サ ー ド パー ティ を 含む 
複雑 な サプライ チェ ー ン で は 、 セ キュ リティ 評価 が 困難 に な り 、 シ ステ ム を さま ざま な 関係 者 や シス テム の 
各部 と 連携 し て 総合 的 に 保護 する 必要 が あり ます 。 さ ら に 、loT に は 、 ク ラウ ドサ ービス や 通信 ネッ トワ ー ク 
な ど 、 他 の 政策 の 対象 と な る 要素 も 含ま れ ま す 。 





gh 
政府 は 、loT エ コシ ステ ム の 覆 雑 さと 多様 性 を 総合 的 に 考慮 し 、 シ ステ ム の 各部 分 が 果たす 
役割 と 、 そ れ ら の 部 分 が どの よう に 相互 作用 する か を 認識 し 、 そ の よう な 複雑 さ に 対応 で き て 
技術 的 中 立 性 が 保 た れ て いる 秒 軟 な 政策 を 策定 する 必要 が あり ます 。 さ ら に 、JoT セ キュ リティ 
政策 は 、 ク ラウ ド や 5G セ キュ リティ な ど 、loT エ コシ ステ ム の さま ざま な 要素 に 影響 を 与え る セキ ュ 
リティ 政策 と 一 致し 、 適 合 す る も の で な けれ ば な り ま せん 。 








loT セ キュ リティ 政策 は 、 重 要 な 概念 と 要件 を 明確 に 定義 する 


政府 機関 が loT セ キュ リティ 政策 を 策定 する 際 、 政 策 立案 者 は 、 技 術 的 な 定義 と セキ ュ リ ティ 要件 を 明確 
に 定義 する 必要 が あり ます 。 消 費 者 、 産 業界 、 そ の 他 の 利害 関係 者 に 政策 の 範囲 と 意図 を 明確 に 伝達 し 、 
断片 化 さ れ た 定義 を 作ら な いよ うに する に は 、「loT」 や 「loT デ バイ ス 」 な どの 主要 な 用 語 に つい て 、 国 際 
的 な 合意 に 基づく 広く 採用 され た 標準 に 従っ た 明確 で 理解 し や すい 定義 を 設け る こと が 不可 欠 で す 。 
同様 に 、loT セ キュ リティ 政策 内 の セキ ュ リティ 要件 を 明確 に 定義 する 必要 が あり ます 。 政 策 立 案 者 が 
特定 の セキ ュ リティ 対策 を 要件 に 設定 する の な ら 、 こ れ ら の 政策 に よっ て 、( 国 際 標 準 化 機構 や 国際 電 
気 標準 会 議 な ど に お いて ) 適切 か つ 合理 的 と され る 機能 お よび プロ トコ ル を 概説 する 確立 され た 国際 
標準 を 製造 業者 が 採用 する よう に 、 適 切な イン セン ティ ブ を 与え る 必要 が あり ます 。 ま た 、 現 在 の 機能 
お よび 慣行 は すぐ に 時 代 遅 れ に な る か も し れ な い の で 、 体 系 化す る の は 避け る べき で す 。 伝 わり や すく 、 
使い や すい loT セ キュ リティ 政策 に より 、 消 費 者 は デバ イス の セキ ュ リ ティ ・ プ ラク ティ ス や 機能 を 簡単 に 
理解 で き 、loT メ ー カ ー や ベン ダー が セキ ュ リ ティ の 優先 事項 に 効率 的 に 対処 で きる よう に な り ま す 。 
多く の 場合 、loT セ キュ リティ 政策 の 主 な 定義 と 要件 は 過度 に 広範 で ある か 、 大 幅 に 省略 され て いる た め 、 
消費 者 と 企業 を 混乱 さす せ て し まい ます 。 








@ ロ 
各国 政府 は 、JoT セ キュ リティ に 関連 する 主要 な 概念 と 要件 を 、 可 能 な 辰 り 国 謙 標 准 沿 っ て 


明確 に 定義 する 必要 が あり ます 。 





伝わり や すく 、 使 いや すい 
loT セ キュ リティ 政策 に 

より 、 消 費 者 は デバ イス の 
セキ ュ リ ティ ・ プ ラク ティ ス 
や 機能 を 簡単 に 理解 で き 
ます 。 
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「loT デ バイ ス 」 の 定義 


政策 立案 者 は 、 ど の デバ イス が 対象 に な る か を 、 可 能 な 限り 具体 的 か つ 明 確 に loT セ キュ リティ 
政策 で 定義 する 必要 が あり ます 。 一 般 的 に 、loT セ キュ リティ 政策 で は 、 次 の よう な 「loT デ バイ ス 」 
の 定義 を 使用 すべ き で す 。 


» ネッ トワ ー ク に 接続 する よう に 設計 され た デバ イス で 、 デ ー タ の 収集 、 送 信 、 ま た は 受信 に 必要 
な コン ピュ ー タ 処理 機能 を 含む 。 


> エン ド ユ ー ザ ー が 使用 で きる 完成 品 で 、 他 の 製品 に 組み 込ま れ た り 統合 され た りす る こと な く 、 
目的 の 機能 に 使用 で き 、 コ ン ポ ー ネ ン ト で は な い [ 一 部 の loT デ バイ ス は 大 規模 な シス テム 内 で 
使用 され る こと が あり 、 併 せ て 複合 IoT デ バイ ス を 構成 する 場合 が ある (接続 カメ ラ や 接続 
デジ タル ディ スプ レイ な ど 、 多 く の loT デ バイ ス が 接続 され て いる 「 ス マー トバ ス 」 を 想定 ) が 、 こ の 
よう な 複合 IoT デ バイ ス で あっ て も 、 個 々 で loT デ バイ ス と 見 な す た め に は 、 組 み 込 まれ た デバ 
イス は 個別 に 機能 する 必要 が ある ]。 


» lol デ バイ ス は 、 他 の コン ポー ネン ト 、 デ バイ ス 、 シ ステ ム を 含む 幅広 い エ コシ ステ ム に 接続 する 
よう に 設計 され て いる こと を 認識 し て いる 


» パー ソナ ル ・ コ ン ピ ュ ー テ ィング ・ シ ステ ム 、 ス マー トモ バイ ル 通 信 デ バイ ス 、 メ イン フレ ー ム ・ 
コン ピュ ー テ ィング ・ シ ステ ム な どの 一 般 的 な コン ピュ ー テ ィング ・ デ バイ ス は 含ま な い 。 


loT セ キュ リティ 政策 は 、 デ バイ ス だ け で な く 、loT エ コシ ステ ム 全 体 を 
保護 する 


望ま し い セ キュ リティ の 成果 を 得る た め の リ スク ベー ス の アプ ロー チ は 、 運 用 環境 に 応じ て さま ざま で す 。 
革新 的 な アプ ロー チ と し て 、loT デ バイ ス を 保護 する 方 法 は デバ イス ベー ス で は な く 技 術 や 方 法論 に 依存 
する よう に な っ て き て いま す 。 場 合 に よっ て は 、 こ れ ら の アプ ロー チ が デバ イス 中 心 の セキ ュ リ ティ 対策 の 
代わ り に な る か も し れ ま せん 。 


loT セ キュ リティ ・ ガ イダ ンス の 開発 に 向け た 多く の 取り 組み は 、 デ バイ ス の 特性 に 限定 的 に 焦点 を 当て 
て いま す 。 エ コシ ステ ム の 観点 を 考慮 し た セキ ュ リ ティ の アプ ロー チ で は 、IloT デ バイ ス の セキ ュ リ ティ 
ベス ト プ ラ クティ ス は 確か に 重要 で あり 、 ま た IloT シ ステ ム の すべ て の 要素 を セキ ュ リ ティ で 保護 する こと 
も 同 程度 に 重要 で ある と 示唆 し て いま す 。 さ ら に いえ ば 、 セ キュ リティ 対策 は 足並み を 揃え る 必要 が ある 
の で す 。 政 策 立案 者 は 、 ベ ンダ ー や 顧客 が デバ イス 外 の セキ ュ リ ティ 対策 に 革新 を も た らし 、 こ れ を 適用 
する 能力 が 、 デ バイ ス 中 心 の セキ ュ リ ティ 政策 に よっ て 損なわ れ な いよ うに する 必要 が あり ます 。 た と え 
ば 、IloT デ バイ ス の パス ワー ド 要 件 を 設定 する こと は 、 セ キュ リティ と ユー ザー エク スペ リエ ンス の 両方 を 
向上 させ る シン グル サイ ン オ ン |ID 管 理 テ クノ ロジ ー の 妨げ と な る た め 、 こ れ ら は 政策 で は 回 避 さ れる べき 
で す 。 


同様 に 、 多 く の セ キュ リティ 専門 家 は 、loT デ バイ ス す べ て が 安全 な パッ チ や アッ プ デ ー ト を 受信 で きる 
よう に すべ きだ と 主張 し て いま す 。 こ の 機能 に より 、 ベ ンダ ー は 、 発 見 され た 脆弱 性 を 緩和 する な ど 、 デ バ 
イス の 保守 性 を 向上 させ る こと が で きま す が 、 デ バイ ス の コス ト 、 市 場 投入 まで の 時 間 、 複 雑 さ の 面 で の 
妥協 を 招く 可能 性 が あり ます 。 た だ し 、 そ の よう な 機能 の 実装 を 妨げ る 可能 性 の ある 使用 要件 に よっ て 、 
デバ イス の 性 能 が 制限 され る 場合 が あり ます 。 新 た な 選択 肢 の 1 つと し て 、 カ スタ マイ ズ さ れ た クラ ウド 
環境 の 構築 が 挙げ られ ます 。 管 理 者 は 、 環 境内 で 管理 され て いる デバ イス に 合わ せ て カス タマ イズ され 
た セキ ュ リ ティ ルー ル を 適用 で きま す 。 た と えば 、 デ バイ ス 自 体 に 新しい ソフ トウ ェ ア を イン スト ー ル する 
と と な く 、 特 定 の デバ イス の 脆弱 性 を 緩和 する 「 仮 想 パ ッ チ 」 を 適用 で きま す 。 





す 


革新 的 な アプ ロー チ 

と し て 、loT デ バイ ス を 
保護 する 方 法 は デバ イス 
ベー ス で は な く 技 術 や 
方 法論 に 依存 する よう に 
な っ て き て いま す 。 
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も う 1 つ の 例 と し て 、「Manufacturer's Usage Description」(MUD) が あり ます 。MUD は 、 デ バイ ス が 
重要 な 情報 を ルー ター に 通信 し て 、 安 全 な 管理 を 可能 に する た め の プ ロト コル で す 。 こ の 場合 、 デ バイ ス 
(デバ イス の デー タ 、 通 信 プ ロト コル 、 お よび 使用 パタ ー ン に 関す る 情報 を 記載 する ソフ トウ ェ ア タ グ を 
含む ) は 、 ル ー タ ー と 連携 し て 動作 し ます 。 ル ー タ ー は 、 セ キュ リティ ルー ル を 適用 し 、 デ バイ ス に 関す る 
公開 情報 に 基づい て 異常 な 動作 を 識別 し ます 。 





9F 
NN i 
ファ ー ム ウェ ア 、 ハ ー ド ウェ ア な ど ) を 考慮 し 、 高 度 な が ネット ワー クベ ー ス の セキ ュ リ ティ 対策 の 開発 
と 適用 を 妨げ る デバ イス 中 心 の 政策 を 回 避 す る こと で 、 信 頼 と 安全 に 対す る リス クベ ー ス の アプ ロ 
ー チ を 推進 する 必要 が あり ます 。 








loT セ キュ リティ 政策 は 、 コ ン シ ュ ー マ ー 向 け loT と 産業 用 loT(lloT) 
を 区 別 する 


一 般 的 に 、 ウ ェ ア ラ ブル 端末 、 ス マー ト ホ ー ム ・ ア プリ ケー ショ ン 、 個 人 の 健康 管理 デバ イス な どの コン 
シュ ー マ ー 向 け loT ソ リュ ーション は 、 個 々 の ユー ザー や 家族 を ター ゲッ ト に し て いま す 。 管理 対象 外 の 
環境 や 限定 的 な ネッ トワ ー ク 管理 が 行わ れ て いる 環境 で 使用 され る 傾向 が あり 、 最 小 限 の セキ ュ リ ティ 
サー ビス を 使用 する か 、 ま っ た く 使 用 し な い 場 合 も あり ます 。 こ れ ら の デバ イス は 長年 に わた っ て 使用 
可能 で す が 、 新 世代 の テク ノロ ジー の 登場 に より 、 急 速 に 新しい バー ジョ ン に 置き 換え られ る 傾向 が 
あり ます 。 


lloT と は 、 産 業 分 野 お よび アプ リケーション に お ける loT の 拡張 と 使用 を 指し ます 。lloT は 、M2M 通 信 、 
ビッ グ デ ー タ 、 機 械 学習 に 重点 を 置い て お り 、 大 規模 工場 や 製造 工場 な どの 生産 性 と 効率 の 大 幅 な 向上 
を 求め る 既存 の オー トメ ーション 化 さ れ た 産業 シス テム を 対象 と し て いま す 。 そ の 他 の lloT テ クノ ロジ ー 
の 例 と し て は 、 コ ネ ク テ ッ ド HVAC シ ステ ム 、 ス マー ト グ リ ッ ド テク ノロ ジー、 手 術 室 で 相互 接続 シス テム 
を 利用 し た 医療 機器 な ど が あり ます 。 さ ら に 、 一 般 的 に 、 商 用 また は 法人 向け テク ノロ ジー は 、 コ ン シ ュ ー 
マー 向け loT で は な く 産 業 IoT 関 連 の 政策 に よっ て 対処 され る べき で す 。 法 人 向け loT と は 、 商 業 オ フィ ス 
ビル 、 ス ー パ ー マ ー ケ ッ ト 、 ホ テル 、 医 療 施設 、 小 売店 な どの アプ リケーション を 指し ます 。 法 人 向け お よび 
産業 用 loT テ クノ ロジ ー は 、 多 く の 場合 、 高 度 な ネッ トワ ー ク 保護 を 使用 し て 十分 に 管理 され た 環境 で 
機能 し ます 。 さ ら に 、 重 要 な イン フラ 分 野 に 導入 され て いる lloT に つい て は 、 国 家 安 全 、 公 衆 衛 生ま た は 
安全 、 経 済 活 力 、 あ る い は その 組み 合わ せ に 対す る これ ら の アプ リケーション の 重要 性 か ら 、 個 別に 検討 
する こと が 必要 に な る 場合 が あり ます 。 


コン シュ ー マ ー 向 け loT お よび IloT ソ リュ ーション は 、 ネ ットワーク 環境 、 リ スク レベ ル 、 サ ポー トラ イフ サイ 
クル 、 複 雑 性 の 点 で 異な り ます 。 


> ネッ トワ ー ク 環境 : コ ン シ ュ ー マ ー 向 け loT は 、 一 般 の 家庭 や オフ ィ ス で 使用 され て いま す 。 通 常 、 こ の 
よう な ユー ザー は 、 テ クノ ロジ ー を 導入 する 前 に サイ バー セキ ュ リ ティ トレ ー ニ ング を 受け る こと は 
あり ませ ん 。 さ ら に 、 家 庭 用 ルー ター や 、 コ コンシューマー 向け loT が 接続 する ネッ トワ ー ク な どの 機器 
は 、 専 門 的 に 管理 され る こと は ほとん ど あ り ま せん 。 一 方 、IloT ソ リュ ーション は 通常 、 社 内 の サイ バー 
専門 家 に よっ て 導入 お よび 保守 され ます 。lloT が 接続 する ネッ トワ ー ク も 、 ほ と ん どの 場合 、 複 雑 な 
ネッ トワ ー ク 保護 を 導入 し て いる セキ ュ リ ティ 専門 家 に よっ て 管理 され ます 。lloT は 多く の 場合 、 重 要 
な 産業 機能 を 支え て いる た めで す 。 


ぅ > リス ク : コ ン シ ュ ー マ ー 向 け loT と lloT は 、 こ れ ら の テク ノロ ジー が 著しく さま ざま な 環境 に 適用 され る 
た め 、 さ ま ざ ま な セキ ュ リ ティ 上 の リス ク を も た らし ます 。 一 般 的 な コン シュ ー マ ー 向 け loT の リス ク 
に は 、 ボ ッ ト ネ ッ ト 、 ラ ン サ ムウ ェ ア 、ID 初 盗 な ど が あり ます 。 こ れ ら の ソリ ュー ショ ン は 、 家 庭 用 機器 や 
ネッ トワ ー ク 上 で 一 般 的 な 人 に よっ て 頻繁 に 使用 され る か ら で す 。lloT は 、 製 造 工場 や 発電 所 な どの 





キ 


法人 向け お よび 産業 用 
loT テ クノ ロジ ー は 、 

多く の 場合 高度 な ネッ ト 
ワー ク 保 護 を 使用 し て 
十分 に 管理 され た 環境 で 
機能 し ます 。 
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重要 な イン フラ 環境 に 導入 され る こと が 多い た め 、IlloT セ キュ リティ イン シ デ ン ト は 、 機 器 の 故障 、 
重要 な デー タ の 損失 、 ビ ジネス お よび 社会 的 な 混乱 、 ま た は 怪我 や 生命 の 損失 まで も が 発生 する 
危険 性 が あり ます 。lloT シ ステ ム の 複雑 さも 、 悪 意 ある 攻撃 者 に と っ て は 攻撃 し や すい 対象 と な り ま す 。 


サポ ー ト ライ フサ イク ル : コン シュ ー マ ー 向 け loT の テク ニカ ル セ キ ュ リ ティ サポ ー ト は 、lloT と 比べ 
比較 的 限ら れ て いま す 。 一 般 コ ン シ ュ ー マ ー 向 け loT ソ リュ ーション で は 、 多 く の 場 合 、 実 用 性 中 心 の 
セキ ュ リ ティ 対策 を 実装 し て 、 ユ ー ザ ー エ クス ペリ エン ス と 消費 者 が 製品 を 使用 する 際 の 利便 性 を 
優先 し ます 。 逆 に 、lloT ソ リュ ーション で は 、 通 常 高度 で 堅 中 な セキ ュ リ ティ 対策 と プロ トコ ル が 使用 
され ます 。 コ ン シ ュ ー マ ー 向 け loT ベ ンダ ー は loT デ バイ ス に サー ビス を 提供 し て いま す が 、 一 般 消費 者 
は 法人 管理 ツー ル に アク セス で きす 、 数 年 ご と に デバ イス を 交換 する こと が あり ます 。lloT の デバ イス 
で は 、 多 く の 場 合 、 セ キュ リティ に 長期 的 な 投資 が 必要 に な り ま す 。 こ れ に は 、 社 内 お よび 現場 の サー 
ビス 技術 者 に よる メン テ ナ ン ス が 含ま れ 、 産 業 用 シス テム で 必要 と され る パフ ォ ー マ ンス レベ ル を 維持 
する こと が 含ま れ ま す 。 ま た 、lloT セ ン サ ー は 、 地 表 下 や 海外 に ある 石油 ・ ガ ス 施 設 な ど 、 物 理 的 に ア 
クセ ス が 困難 な リモ ー ト イン フラ で の パラ メー ター を 測定 する た め に 設置 され る こと が よく あり ます 。 
内 部 管理 機能 こ は 、 セ ン サ ー の 交換 、 フ ァ ー ム ウェ ア の アッ プ グ レー ド 、 ゲ ー ト ウェ イ と サー バ 構 成 の 
管理 な ど が あり ます 。 


複雑 さ :* コ ン シ ュ ー マ 向 け loT 製 品 は 、lloT ソ リュ ーション と 比較 し て 、 統 合 を 必要 と し ませ ん 。lloT シ ス 
テム は 、 広 範 な レガ シー 運用 技術 (OT) を 使用 する 複雑 な 環境 に 適用 され ます 。OT と は 、 ヒ ュー マン 
マシ ン イ ンタ ー フ ェ ー ス (HMI) 、 監 視 制御 お よび デー タ 収 集 (SCADA) シ ステ ム 、 分 散 制御 シス テム 
(DCS) 、 プ ログ ラマ ブル ・ ロ ジッ ク ・ コ ント ロー ラ (PLC) な どの 運用 プロ セス お よび 産業 制御 シス テム 
(ICS) の ネッ トワ ー キ ング を 指し ます 。lloT ソ リュ ーション は 、 こ れ ら の 既存 の 製造 シス テム と 確実 に 
統合 する 必要 が あり ます 。 つ まり 、 こ れ ら の 環境 で の パッ チ 管 理 や その 他 の 主要 な セキ ュ リ ティ 対策 
は 、 は る か に 複雑 化し ます 。 


コン シュ ー マ ー 向 け お よび 産業 用 lo イア プリ ケー ショ ン の スペ クト ル 





オフ ィ ス プリ ンタ ; lloT シ ステ ム 


ユー ザー の 洗練 度 








個人 用 また は : 農業 用 loT 
家庭 用 デバ イス : 





loT シ ステ ム の 複雑 さ 





す 


コン シュ ー マ ー 向 け loT と 
lloT は 、 こ れ ら の テク ノロ 
ジー が 著しく さま ざま な 
環境 に 適用 され る た め 、 
さま ざま な セキ ュ リ ティ 上 
の リス ク を も た らし ます 。 
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政策 立案 者 は 、 コ ン シ ュ ー マ ー 向 け loT と lloT の これ ら の 重要 な 違い を 考慮 し 、 リ スク に 基づい て loT の 
セキ ュ リ ティ ガイ ダン ス と 取り 組み を 優先 順位 付け する 必要 が あり ます 。 





gh 
政府 は 、 す べ て に 適合 する 単 一 の アプ ロー チ を 追求 する の で は な く 、 コ コンシューマー 向け 
loT お よび lloT テ クノ ロジ ー に よっ て も た ら さ れる さま ざま な リス ク に 対処 する 必要 が あり ます 。 
コン シュ ー マ ー デ バイ ス の 政策 で は 、 デ バイ ス 内 で の セキ ュ リ ティ の 構築 を 優先 的 に 行う 必要 が 
あり ます 。 こ れ は 、 消 費 者 が 安全 で 管理 され た 環境 を 構築 する た め の リ ソー ス を 持っ て いな い 可 能 
性 が ある た めで す 。 一 方 、 産 業 用 ユー ザー に は 、 独 自 の 複雑 な 運用 環境 に 合わ せ て セキ ュ リ ティ 
対策 を 調整 で きる 柔軟 性 が 必要 で し ょ う 。 








loT セ キュ リティ 政策 は 、 業 界 の ベス ト プ ラ クティ ス に 基づい て 構築 
され る 


多く の テク ノロ ジー 企業 は 、 セ キュ リティ ・ イ ノ ベ ー シ ョ ン の 最前 線 に 立ち 、loT セ キュ リティ の た め の ベ スト 
プラ クティ ス を 開発 し て きた 数 十 年 に 及ぶ 経験 を 持っ て いま す 。 多 く の BSA 会 員 企 業 も 、 セ キュ リティ の 
点 で は 競合 し て いま す 。 し か し 、IloT テ クノ ロジ ー の 開発 と 導入 の 場面 で は 、 セ キュ リティ に 関す る 十分 な 
情報 に 基づい た 意思 決定 を 行う た め の 知識 と 専門 知識 を すべ て の 企業 が 持っ て いる わけ で は あり ませ 
ん 。 政 府 は 、 セ キュ リティ ・ バ イ ・ デ ザイ ン の 原則 か ら 、 分 野 固有 の 製品 開発 お よび リス ク 評 価 ガ イド まで 、 
さま ざま な ベス ト プ ラ クティ ス を 推進 する こと で 、 よ り 優れ た セキ ュ リ ティ 結果 を 実現 で きま す 。 





特に 、 多 く の ベ スト プラ クティ ス で は 、 セ キュ リティ に 対処 する た め の リ スク ベー ス の アプ ロー チ が 採用 
され て いま す 。 リ スク ベー ス の フレ ー ム ワー ク は 、 政 策 立案 者 、 デ バイ ス メ ー カ ー、 お よび ユー ザー が 、 使 用 
され て いる 特定 の 状況 で 特定 の デバ イス に 影響 を 与え る 可能 性 が 最も 高い リス ク を 理解 し 、 対 処す る 
の に 役立ち ます 。 リ スク ベー ス の フレ ー ム ワー ク に は 、 ユ ー ザ ー の リス ク (ID の 盗難 や 評判 の 低下 な ど ) 、 
サイ バー セキ ュ リ ティ リス ク ( 主 要 機 能 の 中 断 な ど ) や 物理 的 リス ク ( 物 理 シ ステ ム の 損傷 また は 破壊 ) を 
含む 、 影 響 を 受け る シス テム また は 資産 の リス ク 、 お よび 、 よ り 広 範 な エコ シス テム (ボット ネッ ト に よる 
乗っ 取り や 経済 的 な 混乱 な ど ) へ の リス ク に つい て の 分 析 を 組み 込む 必要 が あり ます 。 リ スク ベー ス の 
フレ ー ム ワー ク は 、IoT セ キュ リティ に 対す る 政策 アプ ロー チ の 中 心 と な る べき で す 。 


業界 の 合意 形成 の 取り 組み に より 、 広 く 受 け 入 れ ら れる loT セ キュ リティ ガイ ダン ス の 開発 が 大 幅 に 進展 
し て いま す 。 た と えば 、「BSA Framework for Secure Software (安全 な ソフ トウ ェ ア の BSA フ レー 
ム ワ ー ク )」3 は 、 主 要 な エン ター プラ イズ ソフ トウ ェ ア 企 業 の ベス ト プ ラ クティ ス を 活用 し て 、 ソ フト ウェ ア 
開発 組織 、 そ の 顧客 、 お よび 政策 立案 者 に 、 ソ フト ウェ ア の ライ フサ イク ル 全 体 の セキ ュ リ ティ を 評価 し 、 
奨励 する た め の ガ イダ ンス を 提供 し て いま す 。 こ の ソフ トウ ェ ア に は 、loT ソ リュ ーション を 強化 する も の も 
含ま れ ま す 。 さ ら に 、C2 Consensus on loT Security Capabilities* で は 、20 の 主要 な サイ バー セキ ュ 
リティ お よび テク ノロ ジー 組織 の グル ー プ が 集まり 、loT デ バイ ス が セキ ュ リ ティ に 対す る 市 場 の 期待 を 
満た し 、 世 界 中 で 政策 を 調和 させ る た め に 必要 な 重要 な セキ ュ リ ティ 機能 に 関す る ガイ ダン ス を loT 
デバ イス メー カー に 提供 し ます 。 政 策 立 案 者 は 、 業 界 か ら 開 発 さ れ た これ ら ガ イド を 参照 し て 、 断 片 化 を 
軽減 し loT エ コシ ステ ム の さま ざま お な 業界 分 野 や 部 門 の 間 で 良好 な サイ バー 衛生 を 促進 する 、 よ り 効 果 
的 な IoT セ キュ リティ 政策 の 情報 を 発信 する こと が 期待 され ます 。 





@ [3 

政府 の loT セ キュ リティ 政策 は 、 業 界 を 率い る リー ダー た ちの 専門 知識 を 取り 入れ 、 広 く 受 け 
入れ られ か つ 業 界 で 開発 され た リス クベ ー ス の loT セ キュ リティ の ベス ト プ ラ クティ ス を 取り 入れ る 
こと で 、JoT 市 場 全体 の セキ ュ リ ティ を 強化 する 必要 が あり ます 。 














3 BSA Framework for Secure Software、https://www.bsa.org/reports/bsa-framework-for-secure-software 


4 The C2 Consensus on loT Security Baseline Capabilities、https://securingdigitaleconomy.org/projects/c2-consensus/ 
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loT セ キュ リティ 政策 に より 、loT ラ イフ サイ クル 全体 を 通じ た 
セキ ュ リ ティ を 奨励 する 


セキ ュ リ ティ は 、 開 発 か ら 終 了 ま で 、lo] ソ リュ ーション の ライ フサ イク ル の あら ゆる 段階 に 組み 込む 必要 
が あり ます 。 長 期 的 な セキ ュ リ ティ に は 、 安 全 な 開発 お よび セキ ュ リ ティ ・ バ イ ・ デ ザイ ン の アプ ロー チ に 
加え 、 ソ フト ウェ ア 、 ハー ドウ ェ ア 、 お よび ファ ー ム ウェ アコ ン ポ ボー ネン ト を 保守 し 、 実 装 後 の 脆弱 性 に 対処 
する た め の ラ イフ サイ クル 管理 アプ ロー チ が 必要 で す 。 脆弱 性 は 、 多 く の 場 合 、 独 立 し た セキ ュ リ ティ 
専門 家 や 調査 コミ ュ ニ ティ の 人 に よっ て 特定 され 、 ベ ンダ ー に 報告 され ます 。 製 品 の メン テ ナ ン ス と 脆弱 
性 管理 に 対す る 総合 的 な アプ ロー チ の 一 環 と し て 、 ベ ンダ ー は 、 こ の よう な サー ド パ ー テ ィ の レポ ー ト を 
受信 し て 対処 する た め の 明 確 な 手順 を 確立 する 必要 が あり ます 。 セ キュ リティ 専門 家 は 、 こ の 重要 な 
ニー ズ に 対応 する た め に 、 脆 弱 性 協調 開示 (CVD) プロ グラ ム 5 に 関す る ガイ ダン ス と 標準 を 作成 し て 
いま す 。 こ れ ら の プロ グラ ム は すべ て 、 国 際 的 に 認め られ た ISO/IEC 29147 お よび 3011 1 規格 に 準拠 
し て いる 必要 が あり ます 。 


loT ラ イフ サイ クル 全体 を 通じ て セキ ュ リ ティ の 成果 を 向上 させ る た め に 、 政 策 立案 者 は 、(1) 国際 的 に 
認め られ た 規格 (特に ISO/IEC 29147 お よび 301 1 1 ) に 適合 し 、(2) 人 工 的 な 緩和 スケ ジュ ー ル な どの 
非 生 産 的 な 要件 を 回 避 し 、 さ ら に 、(3)loT ソ リュ ーション の ライ フサ イク ル 全 体 に わた っ て 脆弱 性 管理 に 
対す る 包括 的 な アプ ロー チ を 反映 する CVD プ ロ セ ス を 、 自 発 的 に 確立 する よう 企業 を 奨励 する 必要 が 
あり ます 。 


エン ド オ ブラ イフ (EOL) ・ ポ リ シ ー も 、 製 品 の メン テ ナ ン ス と 脆弱 性 管理 に 対す る 包括 的 な アプ ロー チ 
に は 欠か せな い 一 部 で す 。 エ ンド オブ ライ フ (EOL) と は 、 エ ンド ユー ザー に 提供 され た 製品 が (ベン ダー 
の 観点 か ら ) 耐用 年 数 の 終わ り に ある と 判断 され 、 ベ ンダ ー が 製品 の マー ケティング 、 販 売 、 ま た は 維持 を 
停止 する 日 付 を 指し ます 。 サ ポー ト さ れ て いな い loT 製 品 や サー ビス を 継続 的 に 使用 し た り 、 サ ポー ト を 
突然 終了 し た りす る と 、 深 刻 な 結果 を 招く 可能 性 が あり ます 。 特 に 、 最 新 で な い loT 製 品 は ハッ カー や バグ 
に 対し て 脆弱 で あり 、 こ れ ら の loT テ クノ ロジ ー に 接続 され て いる 他 の シス テム に 脆弱 性 が 生じ る 可能 性 
が 高い た めで す 。 


loT ラ イフ サイ クル 全体 を 通じ て セキ ュ リ ティ に 包括 的 に 対応 する た め に 、 政 策 立 案 者 は 、(1)loT 製 品 
また は サー ビス の 耐用 年 数 終了 日 お よび 耐用 年 数 終了 日 に 関す る 最新 の 予測 に 基づき 常に 更新 され 、 
(2) 変 化す る 状況 に 対応 で きる 柔軟 性 を 備え た 、 自 発 的 な エン ド オ ブラ イフ (EOL) ・ ポ リ シ ー の 確立 を 
企業 に 奨励 する 必要 が あり ます 。 





の 口 
政府 は 、JoT ラ イフ サイ クル 全体 を 通じ た セキ ュ リ ティ を 促進 する た め に 、CVD プ ロ セ ス と 
エン ド オ ブラ イフ (EOL)・ ポ リ シ ー を 自発 的 に 確立 する よう 企業 を 奨励 する 必要 が あり ます 。 








loT セ キュ リティ 政策 は 、 マ ル チ ス テー ク ホ ル ダ ー・ プ ロ セ ス を 
採用 する 


loT は 急速 に 発展 する 環境 の 中 に あり 、 そ の テク ノロ ジー は 多く の 業界 や 用 途 に 広がっ て いる た め 、 課 題 


の 多い 政策 分 野 で す 。loT 市 場 が 急速 に 進化 する に つれ 、BSA 会 員 企 業 を 含む 業界 の 多く は 、loT 分 野 に 


お ける 革新 的 で 責任 ある セキ ュ リ ティ 手法 と プラ クティ ス の 開発 の 最前 線 に 立っ て いま す 。 政 府 は 、 オ ー 
プン で 透明 性 が 高く 、 合 意 に 基づく 複数 の 利害 関係 者 (マル チ ス テー ク ホ ル ダ ー) に よる プロ セス を 通じ て 
loT セ キュ リティ 政策 を 策定 する こと で 、 業 界 が 開発 し た 専門 知識 を 学び 、 こ れ を 取り 入れ る こと が で き 
ます 。 さ ら に 、 複 数 の 利害 関係 者 に よる プロ セス に より 、 消 費 者 グル ー プ や 学者 な ど 、loT に 重点 を 置い た 
人 々 の 視点 か ら 学 習 し 、 そ れ を 取り 入れ る こと が で きま す 。 








5 ソフ トウ ェ ア 脆 弱 性 開示 に つい て 、 詳 細 は 、BSA Guiding Principles for Coordinated Vulnerability Disclosure、https://www. 





bsa.org/files/policy-filings/2019globalbsacoordinatedvulnerabilitydisclosure.pdf を 参照 ハード ウェ ア 脆弱 性 開示 に つ 
いて は 、Center for Cybersecurity Policy and Law、「Improving Hardware Component Vulnerability Disclosure」https:// 
centerforcybersecuritypolicy.org/improving-hardware-component-vulnerability-disclosure を 参照 。 








シシ 


長期 的 な セキ ュ リ ティ に 
は 、 安 全 な 開発 お よび 
セキ ュ リ ティ ・ バ イ ・ デ ザ 
イン の アプ ロー チ に 加え 、 
ソフ トウ ェ ア 、 ハ ー ド ウェ 
ア 、 お よび ファ ー ム ウェ ア 
コン ポー ネン ト を 保守 し 、 
実装 後 の 脆弱 性 に 対処 
する た め の ラ イフ サイ ク 
ル 管 理 ア プロ ー チ が 必要 
で す 。 
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また 、 こ の プロ セス に より 、loT 製 品 を 開発 、 販 売 、 使 用 する さま ざま な メー カー、 ベ ンダ ー、 消 費 者 を ま と 
め る こと も で きま す 。IoT テ クノ ロジ ー は 多く の 業界 に 広がっ て いま す が 、IoT ソ リュ ーション を 開発 し て 
使用 する すべ て の 企業 は 、 セ キュ リティ を 優先 し て 、loT シ ステ ム 全 体 を サイ バー 暫 威 か ら 保護 すべ き で 
す 。loT セ キュ リティ へ の 協 働 的 な アプ ロー チ に 参加 する こと で 、 参 加 者 は 、 ベ スト プラ クティ ス と 教訓 を 
共有 し 、 セ キュ リティ 対話 を 促進 し 、 時 間 の 経過 と と も に 変化 する 脅威 に 適応 し て 進化 で きる 柔軟 な 共有 
セキ ュ リ ティ ソリ ュー ショ ン を 開発 する 機会 を 得 ます 。 効 果 的 か つ 適 切な loT セ キュ リティ 政策 を 策定 する 
に は 、 幅 広い 利害 関係 者 の 専門 知識 と 関与 を 活用 し た 協 働 的 な アプ ロー チ が 必要 で す 。 





政府 は 、 複 数 の 利害 周 係 者 に よる 活動 や 作業 ク グループ を 始動 、 統 率 、 サ ポー ト し 、 業 界 や 
その 他 の 関係 者 と 訪 力 し て 進化 する 脅威 を 理解 し 、 棄 存 の 、 合 意 に 基づく ガイ ドラ イン を も と 
に 、JjoT セ キュ リティ の ベス ト プ ラ クティ ス を 月 発する 必要 が あり ます 。 





loT セ キュ リティ 政策 は 、 国 家 お よび 国際 的 な 政策 の 調和 を 図る 


国家 レベ ル ( オ ー ス トラ リア 6、 欧 州 連 合 7、 日 本 8、 シ ン ガ ポー ル 9、 英 国 !9) 、 州 レベ ル ま た は 地方 レベ ル 
(米国 カリ フォ ルニア 州 ! お よび オレ ゴン 州 !?) を 含む 多く の 政府 が 、loT セ キュ リティ に 対応 する た め の 
取り 組み を 行っ て きま し た 。 よ り 多 く の 政府 が この 差し 迫っ た 問題 に 適切 に 焦点 を 当て る よう に な る と 、 
政策 間 で 断片 化 の リス ク が 増大 し ます 。 政府 機関 の loT セ キュ リティ 政策 に お ける 国家 レベ ル お よび 
国際 レベ ル で の 断片 化 は 問題 で す 。loT ソ リュ ーション は 、 本 質 的 に 相互 に 接続 され 、 相 互 に 依存 し て いる 
た めで す 。 ま た 、 断 片 化 され た 政策 に より 、 異 な る 市 場 で 類似 製品 を 販売 する メー カー に と っ て は 、 市 場 
に 異な る 要件 や 矛盾 する 要件 が 存在 する 可能 性 が ある た め 販 売 が 困難 で す 。 こ の よう な 結果 、 競 争 力 
が 低下 し 、 技 術 革新 が 阻害 され 、 ユ ー ザ ー が 最も 安全 な テク ノロ ジー に アク セス する こと が で き な く な り 
ます 。 


loT セ キュ リティ に 対す る 政府 の アプ ロー チ が 確立 され る に つれ て 、IloT デ バイ ス や コン ポー ネン ト を 開発 
する 多国 籍 テク ノロ ジー 企業 は 、 ポ リ シ ー ガ イダ ンス 、 規 制 要件 、 標 準 が 複雑 化し て いく 状況 に 直面 する 
こと に な り ま す 。IloT ソ リュ ーション の メー カー は 、 基 盤 と な る コー ド が どこ で 開発 され た か 、 デ バイ ス が 
どこ で 製造 され た か に か か わら や ず 、 世 界 中 で デバ イス を 市 場 に 投入 し た いと 考え て いま す 。 統 一 され て お ら 
ます 一 貫 性 が な く 、 矛 盾 する 国家 的 、 国 際 的 な 政策 の 状況 に より 、 こ れ ら 企業 は 販売 を 貴 外 され る こと に 
な り 、 そ の 結果 イノ ベー ショ ン と 競争 力 が 抑制 され ます 。loT セ キュ リティ へ の アプ ロー チ を 調和 させ る 
こと は 、 グ ロー バル 経済 に と っ て 重要 な 目標 で す 。 





の 口 
政府 の joT セ キュ リティ 政策 は 、 可 能 な 限り 、 世 界 中 で 進行 中 の 他 の 同様 の 取り 組み の 情報 
を 取り 入れ 、 こ れ ら に 沿う よう 調整 する 必要 が あり ます 。 

















6 内 務 省 の Draft Coge of Practice: Securing the nternet of Things for Consumers、https://www.homeaffairs.gov.au/ 
reports-and-pubs/files/code-of-practice.pdf を 参照 。 





3 


ENISA、Goog Practices for Security of nternet of Things in the Context of Smart Manufacturing https://www. 
enisa.europa_eu/publications/qgood-practices-for-security-oFiot を 参照 。 ま た 、ENISA 、/o7 Security Stangargs Gap 
Anajysjs、https://www.enisa.europa.eu/publications/iot-security-standards-gap-analysis も 合わ せ て 参照 。 


8 経済 産業 省 、ljorf セ キュ リティ ガイ ドラ イン ver 1.0、https://www.meti.go.jp/english/press/2016/0705 01.html を 参照 。 
nfocomm Megia Devejopment Autnority、 Guidelines: Internet of Things (Jo7) Cyber Security Gujde、https://www. 


imda.gov.sg/-/media/imda/files/regulation-licensing-and-consultations/consultations/open-for-public-comments/ 
consultation-for-iot-cyber-security-guide/imda-iot-cyber-security-guide.pdf を 参照 。 

0 デジ タル ・ 文 化 ・ メ ディ ア ・ ス ポー ツ 省 、Coge of Practice for Consumer loT Security、 https://www.gov.uk/govemment/ 
publications/code-of-practice-for-consumer-iot-security を 参照 。 

1 SB-327 Information Privacy: Connected Devices (カリフォルニア 州立 法 議会 、2017-2018) 、https://leginfo.legislature. 
ca.gov/faces/billNavClient.xhtml?bill id=201720180SB327 を 参照 。 


12 Enrolled House Bill 2395( 第 80 回 オレ ゴン 州立 法 議会 、2019) 、https://olis.leg.state.or.us/liz/2019R1/Downloads/ 
MeasureDocument/HB2395/Enrolled を 参照 。. 
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loT セ キュ リティ 政策 は 、 国 際 的 に 認め られ た loT 標 準 の 開発 と 使用 を 
サポ ー ト する 


loT テ クノ ロジ ー に は 、 国 際 的 に 認知 され て いる いく つか の 技術 的 な セキ ュ リ ティ 標準 が 適用 で きま す 。 
これ ら の セキ ュ リ ティ 標準 は 、 効 果 的 な セキ ュ リ ティ 方 法 を 定義 し て 実装 する た め の 、 広 く 検 討 され た 
合意 に 基づく 情報 と ガイ ダン ス を 提供 し 、 共 通 の 課題 に 対す る 一 般 的 な アプ ロー チ を 促進 し て 、 協 働 性 と 
相互 運用 性 を 実現 し ます 。loT 標 準 は 、 さ ま ざ ま な ユー スケ ー ス 展開 、 ベ ンダ ー、 セ クタ ー、 地 域 に わた る 
相互 運用 性 を 促進 し 、loT の 長期 的 な 実行 可能 性 を 維持 し 、loT ソ リュ ーション の メリ ッ ト と セキ ュ リ ティ 
の 公平 な 分 配 を 促進 し ます 。 相 互 運 用 性 の 向上 と 、 オ ー プ ン で 自発 的 、 広 く 利用 可能 な 標準 を loT デ バ 
イス の 技術 的 な 構成 要素 と し て 採用 する こと で 、 ユ ー ザ ー の メリ ッ ト 、 革 新 性 、 経 済 的 な 機会 が 拡大 し ま 
す 。!3loT に 関す る 規制 、 認 証 、 そ の 他 の 政府 の 政策 は 、 ど こ に 帰属 する も の で あっ て も 、 合 意 に 基づき 、 
国際 的 に 認知 され た セキ ュ リ ティ 標準 に 基づい て いる 必要 が あり ます 。loT 標 準 が まだ 存在 し な い 場 合 、 
政策 立案 者 は loT へ の 技術 的 な アプ ロー チ を 義務 化し な いよ うに し 、 業 界 、 研 究 者 、 そ の 他 の 関係 者 が 
相互 運用 性 へ の サポ ー ト を 目的 と し て オー プン で 合意 に 基づく 標準 の 開発 に 協力 する よう に 奨励 する 
必要 が あり ます 。 こ れ は 、 既 存 の 標準 化 開発 委員 会 を サポ ー ト し 、M2M の 相互 運用 性 な ど 、 進 化し て いく 
標準 が 必要 と な る 分 野 に つい て の 学術 研究 に 資金 を 提供 する こと で 実現 で きま す 。 





gp 
政府 の jo セキ ュ リ ティ 政策 は 、 そ れ が 存在 する 場所 に か か わら ず 、 世 界 的 、 自 発 的 、 そ し て 
合意 に 基づく 其 準 と 一 致し た も の で な けれ ば な ら す ず 、 国 訂 的 に 認知 され た 新しい |oT セ キュ リティ 
標準 の 床 発 を サポ ー ト し 、 国 座 的 な が ベスト プラ クティ ス と は 異な る ロー カラ イズ され た 標準 や 認証 
は 控え る 必要 が あり ます 。 








loT セ キュ リティ 政策 は 、 必 要 に 応じ て 適切 に ベー スラ イン セキ ュ リ ティ 
要件 を 設定 する 


政府 が loT セ キュ リティ 政策 を 策定 する 際 に は 、loT エ コシ ステ ム の 複雑 さと コン シュ ー マ ー 向 け loT と 
lloT の 違い を 考慮 し て 、 一 部 の 分 野 で loT セ キュ リティ 規制 が 必要 で ある と 政策 立案 者 は 判断 する か も 
し れ ま せん 。 こ れ ら の 特定 の 状況 で は 、 セ キュ リティ ガイ ダン ス で コア セキ ュ リ ティ 機能 を 特定 する こと 
が 必要 で す 。 コ ア loT セ キュ リティ 機能 は 、 サ イ バ ー セ キュ リティ に 関連 する アク ティ ビ テ ィ で 構成 され て 
お り 、 メ ー カ ー が 該当 する すべ て の loT 製 品 で 対処 する こと を 推奨 し ます 。 こ れ ら の 活動 に より 、 メ ー カ ー 
は loT デ バイ ス の 顧客 に 対す る サイ バー セキ ュ リ ティ の 負担 を 軽減 で きま す 。 こ れ に より 、IloT デ バイ ス の 
セキ ュ リ ティ 侵害 や 、 セ キュ リティ 侵害 の ある loT デ バイ ス を 使用 し て 行わ れる 攻撃 の 発生 率 と 深刻 度 を 
低減 で きま す 。 


セキ ュ リ ティ 機能 は 、loT デ バイ ス の 製造 、 導 入 、 使 用 、 所 有 権 の 移転 、 終 了 、 最 終 的 な 廃棄 な ど 、loT デ バ 
イス が 使用 可能 な ライ フサ イク ル 全 体 に 対応 する 必要 が あり ます 。 し た が っ て 、 使 用 可能 な ライ フサ イク ル 
全体 で 、 必 然 的 に 異な る 関係 者 と 責任 当事者 が 存在 し ます 。 


状況 に 応じ て 、loT の コア セキ ュ リ ティ 機能 の 政策 立案 者 は 、 暗 号 化 、 パ ッ チ 適用 性 、ID 管 理 、 信 頼 の 基点 
(RoT)、 セ キュ ア な 開発 ライ フサ イク ル (SDLC) な ど を 検討 で きま す 。 こ の よう な 基本 的 な 要件 は 、 常 に 
国際 的 に 認め られ た 基準 と 一 致し 、 技 術 開発 に 十分 に 対応 で きる 柔軟 性 を 維持 する 必要 が あり ます 。 





13 国際 標準 に 準拠 する こと で 、 政 府 の セキ ュ リ ティ に 関す る 取り 組み や 政策 の 広範 な 採用 を 促進 で きま す 。 た と えば 、 国 立 技術 標 
準 研究 所 の Framework for Improving Critical Infrastructure Cybersecurify( 重 要 イ ン フ ラ の サイ バー セキ ュ リ ティ を 改善 す 
る た め の フ レー ム ワ ー ク ) は 、 国 際 的 に 認め られ た 基準 に 治っ て お り 、4 か 国語 で の 翻訳 と 国際 政府 5 機関 に よる 適応 が 示す よう 
に 、 世 界 中 で 使用 され て いま す 。 詳 細 に つい て は 、NIST、International Perspectives、https://www_.nist.qov/cyberframework/ 
intemationalperspectives を 参照 。 ま た 、NIST、International Resources、https://www.nist.gov/cyberframework/ 
international-resources も 合わ せ て 参照 。 
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暗号 化 :lIoT テ クノ ロジ ー は 、 デ バイ ス の 導入 方 法 や 、 そ の 使用 に 伴う プラ イバシー や セキ ュ リ ティ の 
リス ク に 応じ て 、 暗 号 化 する デー タ と 使用 する 暗号 化 メ カニ ズム を 定義 する 暗号 化 戦略 に 従っ て 
開発 する 必要 が あり ます 。 


パッ チ 適 用 性 : 特 に 、 管 理 さ れ た セキ ュ リ ティ 環境 で の 使用 が 想定 され な い コ ン シ ュ ー マ ー 向 け loT 
製品 の 場合 、loT テ クノ ロジ ー は 、 遠 隔 また は 直接 に 、 安 全 な 更新 プロ グラ ム と セキ ュ リ ティ パッ チ を 
受信 で きる 必要 が あり ます 。 


アイ デン ティ ティ 管理 : 機 密 情報 を 処理 し た り 、 ア クセ ス を 制御 する loT テ クノ ロジ ー は 、 パ スワ ー ド 
や その 他 の ユー ザー 認証 情報 に 最新 の 業界 ベス ト プ ラ クティ ス を 適用 する な ど 、 強 力 な ID 管理 と 
認証 を 提供 する 必要 が あり ます 。 


信頼 の 基点 (RoT) :loT デ テクノロジー で は 、 よ り 強 固 な セキ ュ リ ティ 保証 を 実現 する た め に 、RoT に 
お いて 適切 に セキ ュ リ ティ メカ ニズム の 基盤 を 置く 必要 が あり ます 。RoT は 、 特 定 の 重要 な セキ ュ リ 
ティ 機能 を 実行 する 、 信 頼 性 の 高い ハー ドウ ェ ア 、 フ ァ ー ム ウェ ア お よび ソフ トウ ェ ア コ ン ポ ー ネ ン ト 
で す 。RoT は 本 質 的 に 信頼 性 を 有する も の な の で 、 設 計上 安全 で ある 必要 が あり ます 。 そ の た め 、RoT 
の 多く は ハー ドウ ェ ア に は 実装 され て いま す 。 提 供する 機能 が マル ウェ ア に よっ て 改ざん され る こと 
が な いよ うに する た めで す 。RoT は 、 セ キュ リティ と 信頼 を 構築 する た め の 強 固 な 基盤 を 提供 し ます 。 


セキ ュ ア な 開発 ライ フサ イク ル : BSA 会 員 企業 は 、SDLC の 概念 を 作り 上 げ る 業界 リー ダー で あり 
続け て きま し た 。 製 品 開発 段階 有 セ キュ リティ に 関し て 考慮 すべ き 事 項 の 重視 や 、 製 品 の ライ フサ イ 
クル 全体 に わた る セキ ュ リ ティ 問題 の 管理 、 ま た 、 脆 弱 性 や 欠陥 が 発見 され た と き の 分 析 に 基づい て 
開発 プロ セス を 改善 する た め の 反 復学 習 も 行い ます 。 セ キュ ア な 開発 ベス ト プ ラ クティ ス を 採用 し 、 
サプライ チェ ー ン の リス ク を 管理 し 、 特 定 され た 脆弱 性 を 緩和 し 、 エ ンド オブ ライ フ に お ける 考慮 事項 
に 対処 する と いう ベン ダー の コミ ッ ト メ ント を 含む SDLC は 、IloT デ バイ ス の ハー ドウ ェ ア 、 フ ァ ー ム 
ウェ ア 、 お よび ソフ トウ ェ ア 要 素 に と っ て 不可 欠 で す 。「BSA Framework for Secure Software」 
で は 、 ソ フト ウェ ア の SDLC 要 素 に 関す る ガイ ダン ス を 提供 し て いま す 。 








9F 
1 時 リス ク を 判断 する 際 に 必要 と な る loT セ キュ リティ 政策 に は 、 特 定 の セキ ュ リ 
ティ 要件 、 遼 号 化 、 パ ッ チ 適用 性 、 ア イデ ン テ ィ テ ィ 和 菅 理 、RoT、 セ キュ ア な 請 発 ライ フサ イク ル な ど 
の コア セキ ュ リ ティ 機能 が 含ま れ 、 広 く 受 け 入 れ ら れ て いる 国 訂 標 準 に 準 損 する 必要 が あり ます 。 
これ ら 国 訂 標 準 は 、 最 新 の テク ノロ ジー と セキ ュ リ ティ プラ クティ ス に 対応 する べく 定期 的 に 更新 


され て いま す 。 








D4 


セキ ュ リ ティ 機能 は 、loT 
デバ イス の 製造 、 導 入 、 
使用 、 所 有 権 の 移転 、 
終了 、 最 終 的 な 廃棄 な ど 、 
loT デ バイ ス が 使用 可能 
な ライ フサ イク ル 全 体 に 
対応 する 必要 が あり ます 。 
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プラ イバシー と loT 


loT デ ー タ の 保護 は 、 セ キュ リティ と プラ イバシー の 両方 の リス ク を 軽減 する た め に 不可 欠 で す 。 
loT デ バイ ス が 世界 中 で 市 場 を 拡大 する に つれ 、 消 費 者 が デー タ を 有意 義 に 制御 で きる こと が 
ます ます 重要 に な っ て きま す 。 デ ー タ プラ イバシー の ベス ト プ ラ クティ ス は 、 セ キュ リティ に 関わ る 
手続 き を 強化 する こと が で き 、 収 集 さ れ た デー タ の 機密 性 と その 使用 目的 の 両方 を 反映 させ 
な が ら 、loT 環 境 に 順応 させ る べき で す 。 こ れ ら の 原則 は loT セ キュ リティ に 重点 を 置い て いま す 
が 、loT テ クノ ロジ ー を 使用 する 際 に は 、 消 費 者 の プラ イバシー を 保護 する た め の 補 完 的 な ア 
プロ ー チ を 検討 する 必要 が あり ます 。loT ア プリ ケー ショ ン に よっ て 収集 され た デー タ も 含む 、 
デー タプ ライ バシ ー に 対す る 包括 的 な アプ ロー チ は 、 テ クノ ロジ ー が 消費 者 の プラ イバシー を 
保護 する の に 役立ち ます 。 








loT セ キュ リティ 政策 は 、 セ キュ リティ を loT の 取得 に 統合 する 


今後 、 コ ン シ ュ ー マ ー 向 け ま た 産業 向け の loT テ クノ ロジ ー が 普及 する に つれ 、IloT ソ リュ ーション の 政府 
に よる 利用 も 増加 する と 予想 され ます 。 調達 ガイ ドラ イン の 策定 や 、 情 報 に 基づく リス クベ ー ス の 分 析 に 
よる サプライ チェ ー ン リス ク 測 定 の た め の ポ リ シ ー の 設定 に お いて 、 政 府 機関 は 民間 の サイ バー セキ ュ 
リティ に 積極 的 に 影響 を 与え る こと が で きま す 。 同 様 に 、loT 調 達 に お いて セキ ュ リ ティ を 優先 する こと 
は 、 幅 広い loT 市 場 に より 安全 な 製品 の 製造 を 奨励 する こと に な る の で 、 消 費 者 に 利益 を も た らし ます 。 





loT デ バイ ス 、 プ ラッ ト フ ォ ー ム 、 サ ービス の 調達 方 法 の 強化 を 検討 し て いる 政策 立案 者 は 、 国 際 的 に 
認め られ 適用 可能 な 標準 と 政策 が 一 致し て いる こと を 確認 し 、 セ キュ リティ の ベス ト プ ラ クティ ス に 準拠 
し て いる こと を 強調 する 必要 が あり ます 。 そ の た め 、 多 層 化 され た ハー ドウ ェ ア お よび ソフ トウ ェ ア レ ベル 
の 機能 を 備え た セキ ュ ア な ソリ ュー ショ ン は 、 政 府 の loT の 調達 の 優先 事項 と な り ま す 。 





@ ロ 

政府 は 、 調 達 プ ロ セ ス の 部 門 や 機関 を 奨励 し 、 業 界 主導 の 、 自 発 的 な 、 合 意 に 基づく 国際 
ガイ ドラ イン に だ 基づい て 、 安 全 で 相互 運 用 性 が 高く 、 拡 張 性 に 優れ た 資産 向け joT ソ リュ ーション 
を 優先 する 必要 が あり ます 。 








loT セ キュ リティ 政策 は 、loT を イン シ デ ン ト 対 応 に 組み 込む 


loT ア プリ ケー ショ ン が 急増 し 、 消 費 者 や 産業 界 の ユー ザー に メリ ッ ト が も た ら さ れる 中 、 政 府 は loT を 
イン シ デ ン ト 時 や 緊急 時 の 対応 に 組み 込む べき で す 。loT 攻 撃 は 複雑 で 動 的 で あり 、 サ イ バ ー 脅 威 や 物 


理 的 な 脅威 を 伴う 可能 性 が ある た め 、 大 規模 な loT イ ン シ デ ント へ の 対応 や 解決 は 特に 困難 で す 。 政 策 
立案 者 は 、loT に 関す る 考慮 事項 を イン シ デ ン ト 対 応 計 画 お よび 政策 の 作成 に 組み 込む べき で す 。 こ れ に 
より 、loT 攻 撃 の 潜在 的 な スピ ー ド と 規模 に 対応 で きま す 。 さ ら に 、 政 策 立 案 者 は 、loT テ クノ ロジ ー が どの 


よう に し て 緊急 計画 と 対応 を 改善 で きる か を 検討 する 必要 が あり ます 。 こ れ に は 、 業 務 上 必須 な ロジ ス 
ティ クス の サポ ー ト と 通信 、 緊 急 通 報 、 公 共 警 報 シス テム な ど が 含ま れ ます 。 





@ ロ 
政府 は 、JoT を イン シ デ ン ト 対 応 計画 に 統合 すべ き で す 。 こ れ に は 、JoT の イン シ デ ン ト や 緊急 
対応 の 政策 と プロ グラ ム が 含ま れ ま す 。 
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loT テ クノ ロジ ー は 、 私 た ちの 日 常 生活 と ビジ ネス プロ セス を 急速 に 変化 させ て いま す 。loT ソ リュ ーション 
の 普及 に 伴い 、loT エ コシ ステ ム 全 体 の セキ ュ リ ティ を 促進 する た め に は 、 政 策 立 案 者 が 迅速 に 行動 する 
必要 が あり ます 。 サ イ バ ー セ キュ リティ と loT イ ノ ベ ー シ ョ ン の リー ダー を 代表 し て 、BSA は 、loT セ キュ リ 
ティ に 対す る 責任 ある リス クベ ー ス の アプ ロー チ を 強く 支持 し ます 。 

上 記 の 原則 は 、 政 府 が この 複雑 な 政策 課題 に 取り 組む 際 の 指針 と な り ま す 。BSA は 、loT 市 場 全体 の 
セキ ュ リ ティ を 推進 する た め に 、 政 策 立案 者 と 協力 する 機会 を 歓迎 し ます 。 
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